Podczas spotkania pt. „Dlaczego potrzebujemy nowego krajowego systemu cyberbezpieczeństwa? Fakty i mity”, organizowanego przez Związek Cyfrowa Polska, odbyła się dyskusja ekspertów dotycząca wspomnianej ustawy. Marcin Wysocki, zastępca dyrektora departamentu cyberbezpieczeństwa w Ministerstwie Cyfryzacji, wskazał na wstępie, że nad ustawą pracuje obecnie komitet ds. europejskich. Ma on przyjąć projekt jeszcze w grudniu, podobnie jak komisja stała rządu i samorządu. Na początku przyszłego roku projekt ma trafić do Komitetu Stałego Rady Ministrów, a zakończenie prac rządowych planowane jest w I kwartale 2025 r.
Mity wokół ustawy o Krajowym Systemie Cyberbezpieczeństwa – nadregulacja, upolityczniona procedura
Wiceszef departamentu w MC wskazał też, że w toku prac zmianom mogą ulec obowiązki przewidziane w projekcie dla podmiotów publicznych, szczególnie tych najmniejszych, zarządzanych przez samorządy (jak np. żłobki i przedszkola). Istotne zmiany mogą też zostać wprowadzone na etapie komitetu stałego. Odniósł się też do popularnego w debacie publicznej zarzutu, że projektowana ustawa stanowi „nadregulację” względem przepisów unijnych, które ma wdrażać. Wskazał, że założenia projektu są zgodne z tzw. Tool Boxem G5, ustalonym przez Europejską Agencję ds. Cyberbezpieczeństwa (ENISA), który został już wprowadzony przez ponad 20 państw UE. Tymczasem Polska jest jednym z ostatnich krajów, które tego nie zrobiły.
Dodał, że słynne „przesłanki nietechniczne”, które mają być podstawą do uznania danego usługodawcy z rynku cyfrowego lub producenta sprzętu/oprogramowania za dostawcę wysokiego ryzyka, wynikają właśnie ze wskazanego Tool Boxa i są standardem w Europie.– Tool Box G5 jest jednak różnie wdrażany. Jedne kraje prowadzą tzw. black listę, czyli wskazują podmioty, które nie mogą być dostawcami, inne zaś tzw. white listę – czyli wskazywanie, kto może być dostawcą sieci nowej generacji, inne państwa zaś mają rozwiązania oparte na porozumieniach – w tym kierunku poszły ostatnio Niemcy – tłumaczył Marcin Wysocki.
Wskazywał też, że wbrew powtarzanym w debacie publicznej argumentom, decyzje o uznaniu za dostawcę wysokiego ryzyka nie będą uznaniowe i polityczne, ale podejmowane w transparentnej procedurze, szczegółowo opisanej w ustawie.
Czytaj więcej
W kwestii cyberbezpieczeństwa jesteśmy świadkami próby legitymizacji kontrowersyjnych instytucji...
